ContentLeash: защита обратимой анонимизации голоса от вырожденных решений

Анонимизатор может успешно обманывать проверку диктора, просто разрушая речь. ContentLeash обнаруживает такой режим в собственной реализации обратимой системы Rano и добавляет прямое ограничение на анонимизированный спектр. Интерес здесь не в рекорде приватности, а в том, какие обучающие функции действительно удерживают содержание при смене голоса.

Метод. Условная обратимая сеть из 12 блоков преобразует 80-полосную мел-спектрограмму; восемь блоков генератора превращают случайный ключ в условие псевдодиктора. Прежнее ограничение согласованности применяется к восстановлению с настоящим диктором и не ограничивает выход с анонимным условием. Авторы добавляют среднеквадратичный якорь к исходной спектрограмме, штраф за выход из её диапазона и регуляризацию логарифма определителя Якобиана. Для обучения проверки личности ECAPA дистиллируется в дифференцируемый спектральный модуль с сохранением попарных отношений между голосами.

Результаты. В основном тесте 303 реплики 38 ранее не встречавшихся дикторов LibriTTS EER внешнего ECAPA растёт с исходных 2,83 до 26,31±0,25%, другого проверяющего ResNet с 2,08 до 27,86%. WER меняется с 2,48 до 11,75%. Правильно восстановленный сигнал имеет сходство диктора 94,90%, как и контрольный проход через вокодер. Это потолок выбранного тракта, не вероятность правильного восстановления личности. Точная обратимость спектральной сети также не означает побитовой обратимости звуковой волны.

Ограничения. Результат получен для читаемой английской речи и неосведомлённого атакующего, который сравнивает исходную запись с анонимизированной. Адаптация проверяющего под анонимизатор и криптографическая стойкость не доказаны. Исходного кода Rano у авторов нет: вырождение их реализации нельзя переносить на оригинал, где опубликован WER 11,91%. Дополнительные опыты с неверным ключом и ранним вокодером не имеют того же чистого протокола, что основной тест.

Фишка из статьи. Контролируемый опыт таблицы I использует одинаковые начальные веса, данные и 3000 шагов: 50 реплик десяти дикторов, один случайный ключ. Он показывает, почему EER нельзя максимизировать отдельно от разборчивости; здесь используется более ранний вокодер, поэтому числа не следует смешивать с основным тестом.

Как это читать: ухудшение EER после добавления ограничений здесь полезно: система перестаёт покупать мнимую приватность ценой уничтоженного содержания. WER может превышать 100% из-за вставок распознавателя. Для практической анонимизации нужны одновременно внешний проверяющий личности, распознавание содержания и прослушивание, а не только малая обучающая функция потерь.

Источник. Оригинальное название: The Content Leash: Mitigating Degenerate Solutions in Invertible Speaker Anonymization. arXiv:2610.36768; полный текст PDF.